FSMOAvancé

FSMO et réplication

Mis à jour le 2 juillet 2026#FSMO#réplication#multi-maître#SYSVOL#DC

Une réplication multi-maître

Dans un domaine, tous les contrôleurs de domaine (DC) sont accessibles en écriture : une modification faite sur l'un est répliquée vers les autres (modèle multi-maître). La base NTDS.dit se réplique via AD, et le partage SYSVOL (scripts, GPO) via DFS-R.

…sauf pour 5 opérations : les rôles FSMO

Certaines opérations sensibles ne peuvent pas être faites par plusieurs DC en même temps (risque de conflit). Elles sont confiées à un seul DC : ce sont les rôles FSMO (Flexible Single Master Operations).

Rôle	Portée	Fonction
Schema Master	Forêt	seul à pouvoir modifier le schéma
Domain Naming Master	Forêt	ajouter / supprimer des domaines
RID Master	Domaine	distribue les pools de RID (unicité des SID)
PDC Emulator	Domaine	temps de référence, mots de passe, verrouillages
Infrastructure Master	Domaine	met à jour les références inter-domaines

💡 À retenir : 2 rôles à l'échelle de la forêt (Schema, Domain Naming) et 3 par domaine (RID, PDC, Infrastructure). Le PDC Emulator est le plus sollicité au quotidien (source de temps, changements de mot de passe).

Transférer ou saisir un rôle

Transfert (transfer) : déplacement planifié d'un rôle vers un autre DC, quand les deux sont en ligne.
Saisie (seize) : récupération en force d'un rôle quand son détenteur est définitivement hors service (le DC défaillant ne doit jamais revenir).

netdom query fsmo      # affiche quel DC détient chaque rôle

Convergence et cohérence

La réplication n'est pas instantanée : les DC convergent après un court délai. Un objet supprimé devient une tombstone (pierre tombale) le temps que la suppression se propage partout, évitant qu'il « ressuscite » depuis un DC pas encore à jour.

⚠️ Le DNS est vital : sans résolution correcte des enregistrements SRV, les DC ne se trouvent plus entre eux et la réplication échoue.